XXXX生产数据开发测试使用脱敏规范.docxVIP

XXXX生产数据开发测试使用脱敏规范

编制部门： 初稿日期： 版本号： V1.0生效日期：

申明

PAGE\*ROMAN

PAGE\*ROMANIII/NUMPAGES11

本技术规范中所有内容，包括但不限于文字、图表、标志、标识、版面设计、名称、内容等所有信息，属于XXXX的机密材料，知识产权归本行所有，受中华人民共和国相关法律及适用之国际公约中有关法律的保护，在未获得本行的书面同意之前，不得用于任何其他用途，不得以任何形式或任何方式拷贝、翻印或传抄。否则以侵权论，我行将依照相关法律法规的规定，追求法律责任。

版本记录

版本号

编制部门

发布日期

生效日期

1.0

信息技术部

2013-5-3

目 录

第一章总则 4

第二章敏感信息 4

第三章脱敏场景 5

第四章系统脱敏清单 6

第五章脱敏规则 8

第六章脱敏流程 9

第七章附则 10

第八章附件 11

XXXX

XXXX生产数据开发测试使用脱敏规范

PAGE

PAGE10/NUMPAGES11

第一章总则

第一条 为了加强我行的客户信息安全保护，满足国家法律法规对个人信息保护的要求，有效减少开发测试对生产数据的直接使用；为了加强行内客户信息的规范管理，为部门间提供更好地信息共享、审批机制，并有效的降低客户信息泄露的安全隐患，特制定本规范。

第二条本规范是对《XXXX生产数据开发测试使用管理规范》的有益补充，有效的促进脱敏工具的顺利实施，逐步实现敏感信息的规范化的管理。

第三条本规范测试数据使用者对应信息项目组。

第四条本规定适用于测试数据使用者提取申请生产数据的处理。

第二章敏感信息

第五条参照《XXXX生产数据开发测试使用管理规范》的分类分级的原则，按应用特点主要包括以下五类：密钥密码信息类、客户信息类、业务信息类、业务参数信息类、用户信息类。脱敏重点解决的密钥密码类和客户信息类以及部分重要的用户信息类信息（行内重要的股东信息、行内用户身份信息、档案、费用相关信息等）。

第六条脱敏工具处理的重点内容包括：

(一)个人客户：包括客户姓名（中文、英文）、客户证件号码、其它证件号码、个人联系信息、其它联系信息、密码等

信息。

(二)企业客户：包括客户名称、企业负责人信息、企业管理部门信息、联系信息、证件号码类信息密码等信息。

(三)个人账户：账户名称、密码等。(四)企业账户：账户名称、密码等。

(五)用户信息：股东信息、行内用户身份信息、档案、费用相关信息等。（主要涉及系统包括行内股权、财务、人力、OA系统）

第三章脱敏场景

第七条测试数据使用者提取的生产数据不涉及上述界定的敏感信息范围，不需要任何变形处理，生产数据可直接使用；提取数据涉及上述敏感信息需要进行以下脱敏场景的分析，来决定是否需要脱敏变形处理。

第八条 从生产数据敏感性保护的角度，测试数据使用者申请提取生产数据使用主要包括三种情形：系统和外联单位联调测试、监管报送类信息的准确性测试、常规的系统测试（POC、UT、IT、ST、UAT、BVT等）。

第九条外联单位联调测试。

(一)我行系统需要涉及的外联单位包括：人行、银监、银联、外汇管理局、财政、金交所、公积金中心、外汇交易中心、基金公司、SWIFT组织、CFCA、城商行电票中心、卡商中转中心等。

(二)联调测试数据是否允许脱敏的判断主要包括两类：一类是外

联单位仿真数据提供情况，一类是本次脱敏信息变形后对测试的直接影响。

外联单位提供仿真数据，测试系统测试中可以完整的模拟整个测试流程，此时需要使用脱敏后数据，不允许生产数据的直接使用；外联单位没有提供仿真数据,且敏感信息变形直接影响测试的正常运行，允许直接使用生产数据用于测试。

敏感数据尤其客户信息变形后对本次测试影响不大，不会增加大量的测试工作量，测试中需要使用脱敏后的生产数据；脱敏变形后直接影响数据的测试效果或者不能完整进行流程测试，此时允许直接使用生产数据。

第十条监管报送类信息的测试：报表数据中数据过滤或汇总分析

条件不涉及客户信息等敏感数据，要求使用脱敏后生产数据用于测试；报表数据中汇总分析条件如涉及客户信息，允许直接使用生产数据。

第十一条常规系统测试使用脱敏后的生产数据，禁止生产数据的

直接使用。

第十二条测试数据使用者对所有使用未脱敏的数据，请务必在生产数据申请单中进行详细的原因说明，同时做好测试数据保管义务，并承担因数据安全保护不力或泄密所造成的全部责任。

第四章系统脱敏清单

第十三条系统中不存储本次敏感信息的系统清单如下，该部分系统生产数据允许测试数据使用者直接使用。

脱敏系统清单